搜索

[27351] 2020-08-14_从组合漏洞到域控

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-19
2020-08-14_从组合漏洞到域控 从 组 合 漏 洞 到 域 控 N e a r S e c   2 0 2 0 - 0 8 - 1 4 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 6 0 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   6 0   篇 文 章 。 全 文 共 计 2 4 2 0 个 字 ， 预 计 阅 读 时 长 9 分 钟 。 引 言 引 言 本 文 内 容 记 录 下 某 次 授 权 项 目 中 针 对 企 业 站 点 的 渗 透 测 试 过 程 ， 仅 仅 分 享 思 路 ， 这 还 要 从 我 拿 到 一 张 二 维 码 说 起 ， 需 要 针 对 的 是 一 款 通 过 应 用 宝 平 台 发 布 的 企 业 A P P ， 看 到 一 百 多 万 的 下 载 量 我 人 都 傻 了 ， 总 之 说 来 话 长 ， 那 就 长 话 短 说 吧 。 因 为 当 时 没 有 做 好 截 图 记 录 ， 而 后 整 理 思 路 进 行 复 测 后 将 截 图 打 码 补 全 ， 如 有 雷 同 ， 纯 属 巧 合 。 悠 哉 游 哉 悠 哉 游 哉 通 过 模 拟 器 抓 到 A P P 登 录 接 口 的 域 名 ， 通 过 内 部 资 产 搜 集 平 台 获 取 到 相 关 域 名 、 I P 等 信 息 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
考 虑 到 需 要 使 用 身 份 证 号 码 登 录 ， 暂 且 不 考 虑 从 A P P 入 手 ， 不 过 还 是 象 征 性 的 枚 举 了 一 下 t o p 1 0 0 0 用 户 名 ， 想 都 不 用 想 这 种 用 户 名 肯 定 是 不 存 在 的 ， 又 不 能 注 册 ， 可 还 是 得 皮 一 下 ， 万 一 就 进 去 了 呢 。 紧 接 着 对 子 域 名 进 行 搜 集 ， 不 巧 的 是 只 有 m a i l 系 统 和 一 个 4 0 3 页 面 ， 还 有 一 个 对 我 充 满 恶 意 的 w w w 主 域 名 。
巧 的 是 我 通 过 搜 索 引 擎 发 现 4 0 3 系 统 实 际 上 是 一 个 小 程 序 的 域 名 ， 还 是 s i t e 大 法 好 ， 遂 准 备 对 该 小 程 序 进 行 逻 辑 测 试 ， 尝 试 获 取 到 用 户 账 号 权 限 于 是 在 身 份 验 证 功 能 处 输 入 账 号 密 码 对 用 户 进 行 绑 定 ， 这 个 时 候 实 际 上 我 需 要 用 得 到 测 试 手 机 号 去 枚 举 一 些 开 发 人 员 在 开 发 时 留 存 且 未 删 除 的 一 些 手 机 用 户 ， 顺 便 碰 碰 运 气 能 不 能 成 功 绑 定 。 结 果 是 存 在 这 么 几 个 测 试 用 户 的 ， 并 且 在 测 试 的 一 些 请 求 包 中 机 缘 巧 合 的 得 到 了 后 台 系 统 地 址 ， 既 然 有 了 后 台 系 统 ， 那 么 我 肯 定 是 很 快 就 抛 弃 了 小 程 序 ， 去 尝 试 做 密 码 重 置 操 作 ， 发 现 枚 举 出 来 的 手 机 号 为 管 理 员 。 第 一 步 是 将 验 证 用 户 名 的 正 确 R e s p o n s e 保 存 ， d a t a 值 为 用 户 i d 。
第 二 步 就 是 验 证 管 理 员 用 户 信 息 ， 只 要 将 R e s p o n s e 替 换 掉 并 且 修 改 获 取 到 的 指 定 用 户 i d ， 就 能 成 功 修 改 密 码 。 重 置 成 功 。
成 功 登 录 系 统 后 ， 发 现 只 有 一 个 相 关 人 员 管 理 功 能 还 有 点 用 。 通 过 人 员 管 理 功 能 处 的 查 询 接 口 可 以 获 取 到 人 员 的 p a s s w o r d ， 于 是 复 制 下 来 解 密 后 得 到 一 些 明 文 密 码 。 到 这 里 好 像 就 没 什 么 头 绪 了 ， 那 就 使 出 g i t h u b 大 法 ， 果 然 搜 到 一 些 邮 箱 地 址 什 么 的 ， 纯 属 碰 运 气 ， 最 重 要 的 是 发 现 一 个 看 上 去 不 太 好 去 f u z z 的 目 录 ， 访 问 后 是 一 个 登 录 系 统 ， 这 个 登 录 系 统 暂 时 搁 置 。
好 吧 那 就 先 采 集 一 波 邮 箱 ， 再 加 上 用 户 名 t o p 1 0 0 0 生 成 邮 箱 地 址 ， 然 后 对 p o p 3   s s l 服 务 枚 举 一 波 ， 终 究 还 是 没 错 付 ！ 从 这 里 开 始 思 路 就 可 以 拓 展 很 多 ， 但 我 还 是 想 从 w e b 层 面 入 手 。 于 是 翻 鸭 翻 翻 鸭 翻 ， 翻 到 了 一 个 邮 件 ， 里 面 给 出 了 测 试 系 统 的 I P 地 址 。
然 后 . . . . . . 然 后 就 弱 口 令 登 了 进 来 ， 连 号 都 没 上 。 既 然 是 测 试 系 统 ， 那 么 应 该 和 生 产 系 统 功 能 差 不 多 ， 测 试 了 一 下 ， 果 然 目 录 什 么 的 都 和 主 站 相 同 ， 但 是 经 过 t o p 1 0 0 0 字 典 的 一 番 伺 候 ， 还 是 没 能 进 去 ， 于 是 在 测 试 系 统 中 添 加 管 理 员 。 关 于 这 个 添 加 管 理 员 的 请 求 包 思 来 想 去 ， 最 后 把 h o s t 给 改 成 了 w w w 主 域 名 ， 然 后 p o s t 过 去 ， 神 奇 的 事 情 发 生 了 ， 不 在 同 一 台 服 务 器 上 的 主 站 生 产 环 境 被 加 了 个 管 理 员 用 户 ， 你 看 ， 命 运 它 就 是 这 么 捉 弄 人 。
其 实 就 是 这 个 功 能 没 有 校 验 管 理 员 用 户 的 c o o k i e ， 导 致 可 以 随 意 发 送 请 求 。 于 是 登 录 主 站 生 产 系 统 的 后 台 ， 发 现 后 台 功 能 和 测 试 环 境 的 不 太 一 样 ， 没 有 上 传 点 ， 但 是 看 到 了 有 图 片 ， 那 么 说 明 肯 定 不 是 在 后 端 上 传 的 ， 而 是 用 户 上 传 后 ， 到 后 台 进 行 审 核 ， 遂 复 制 了 一 些 身 份 证 号 码 ， 准 备 去 A P P 上 面 测 试 。 枚 举 了 一 些 弱 口 令 用 户 ， 成 功 登 录 了 A P P ， 找 到 身 份 认 证 等 几 处 功 能 上 传 s h e l l ， 进 行 一 系 列 绕 过 测 试 ， 但 是 都 失 败 了 ， 准 备 下 号 的 时 候 ， 钉 钉 机 器 人 突 然 出 现 f a s t j s o n 漏 洞 提 醒 。
就 这 ?
安 排 成 功 弹 回 s h e l l ， 不 巧 的 是 一 台 独 立 的 某 云 机 器 ， 上 面 部 署 的 只 有 一 个 客 服 功 能 。 巧 的 是 在 B A C K U P 目 录 下 发 现 了 开 发 人 员 备 份 的 测 试 版 本 A P P 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理